centos配置出栈访问规则

在一些情况下，我们需要配置出栈访问，指定主机允许外联网段，或应急响应时阻断外部段。使用firewall可以进行配置。

firewall规则中，较小的数字具有较高的优先级，因此规则将按照数字升序的顺序执行。

# 创建优先级最高的，允许到达网关所在段

firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 -d 192.168.243.0/24 -j ACCEPT‘

# 配置允许访问的地址段
firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 -d 172.16.0.0/16 -j ACCEPT

# 阻断其余全部地址段
firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 100 -j DROP    

# 重载防火墙配置，firewall不会中断现有连接
firewall-cmd --reload

# 查看所有配置的规则
firewall-cmd --permanent --direct --get-all-rules

# 删除阻断规则

firewall-cmd --permanent --direct --remove-rule ipv4 filter OUTPUT 100 -j DROP

# 使用富规则配置严格限制

firewall-cmd --add-rich-rule='rule family="ipv4" source address="your_source_IP" destination address="172.16.0.0/16" forward-port port="any" protocol="all" accept'